تحذير لمستخدمي Claude Code! تم اختراق وتسميم حزمة TanStack NPM، حيث يتم تحميلها حتى 12.7 مليون مرة أسبوعيًا

الطقم المعروف تان ستاك يتعرض للاختراق والتسميم من قبل هاكرز TeamPCP، مما يؤثر على العديد من أدوات تطوير الذكاء الاصطناعي والمحافظ المشفرة. البرمجيات الخبيثة لا تسرق فقط الشهادات السرية، وعند اكتشافها تقوم بحذف بيانات المستخدمين انتقامياً، مما يبرز تزايد تهديدات هجمات سلسلة التوريد.

تم اختراق حزمة تان ستاك على NPM، وتأثر مستخدمو Claude والمشفرون

هاجمة واسعة على سلسلة التوريد على NPM مرة أخرى! حزمة تان ستاك على NPM التي يتم تنزيلها على الأقل 12.7 مليون مرة أسبوعياً، تعرضت للاختراق والتسميم من قبل مجموعة هاكرز. الهجوم استهدف بشكل خاص بيئة الذكاء الاصطناعي الرائجة مؤخراً، وتأثرت بها حزم ذات صلة مثل Mistral AI و OpenSearch و Guardrails AI وغيرها.

تستخدم مجموعة الهاكرز بشكل رئيسي تحميل الشفرات الخبيثة على أدوات مساعدة لكتابة الكود في الذكاء الاصطناعي التي يستخدمها المطورون بشكل شائع، مثل Claude Code وبيئة محرر VS Code من مايكروسوفت، بهدف سرقة الشهادات السرية للمستخدمين، والتي تتضمن أيضاً رموز وصول GitHub الهامة للمطورين.

إذا قمت بتنزيل نسخة ملوثة من TanStack NPM في 11 مايو 2026، يرجى بسرعة اتباعالإرشادات الرسمية، وتغيير جميع الحسابات والكلمات السرية والشهادات السحابية التي قد تكون تعرضت للخطر.

مجموعة الهاكرز TeamPCP تملأ التسميم خلال ست دقائق

وفقاً لتقرير تحليل StepSecurity، فإن هذا الهجوم نفذته مجموعة الهاكرز النشطة TeamPCP. وقد قامت هذه المجموعة في مارس من هذا العام، بشن هجوم على حزمة الذكاء الاصطناعي المفتوحة المصدر LiteLLM، مما أدى إلى تسريب مئات الجيجابايت من البيانات السرية وأكثر من 500 ألف شهادة.

• **تقرير ذات صلة:**ملخص هجوم التسميم على LiteLLM: كيف تتحقق من صحة المحافظ المشفرة والمفاتيح السحابية؟

الآن، وجهت مجموعة TeamPCP هدفها إلى TanStack، وبعد الهجوم أصدرت على GitHub فيروس الدودة الخبيثة Mini Shai-Hulud المفتوح المصدر. هذا الفيروس يمتلك قدرة الانتشار الذاتي، وعند دخوله النظام، يبحث تلقائياً عن ويسرق كلمات المرور والمفاتيح المختلفة.

وقع حادث TanStack في 11 مايو، حيث خلال ست دقائق فقط، أصدر الهاكرز 84 إصداراً من 42 حزمة مرتبطة بـ TanStack تحتوي على برمجيات خبيثة، باستخدام ثلاث ثغرات نظامية وردود فعل متسلسلة لتحقيق هدفهم.

مصدر الصورة: StepSecurityتنظيم StepSecurity للحزم المتأثرة بهجوم TanStack

ملخص جدول زمني لهجوم التسميم على TanStack

قرأتُ تقرير التحليل وملخصتُ عملية هجوم TanStack كالتالي:

• أولاً، أنشأ الهاكرز فرعاً في مستودع كود TanStack، ووضعوا فيه برمجية خبيثة بشكل سري.
• ثانياً، استغلوا ثغرة في آلية التخزين المؤقت لعملية الاختبار الآلي للنظام. عندما يقوم النظام الرسمي باختبار الكود المقدم من الهاكرز، يتم حفظ البيانات المؤقتة التي تحتوي على الملف الخبيث. وعند قيام النظام لاحقاً بنشر البرمجيات بشكل طبيعي، يقرأ النظام عن غير قصد هذه البيانات المصابة.
• أخيراً، تقوم الشفرة الخبيثة التي تم تفعيلها بقراءة ذاكرة النظام مباشرة، وتحديداً تلتقط الشهادات الأمنية ذات الصلاحيات العالية المستخدمة في إصدار البرمجيات. بعد الحصول على الشهادة، يستطيع الهاكرز تجاوز عمليات الفحص الأمني العادية، ونشر حزم تحتوي على الدودة الخبيثة إلى سجل NPM العام. حتى أن هذه البرمجيات الخبيثة تحمل شعار الاعتماد الأمني الرسمي الأعلى، مما يصعب على المطورين العاديين تمييز خطورتها من المظهر الخارجي.

عندما يقوم المطورون غير المدركين بتنزيل وتثبيت الحزم المصابة، تبدأ الدودة Mini Shai-Hulud في العمل بصمت في الخلفية. بالإضافة إلى مفاتيح الخدمات السحابية، ستقوم الفيروسات بقراءة أكثر من 100 مسار ملف افتراضي، وتشمل إعدادات أدوات الذكاء الاصطناعي الشائعة، وإعدادات الشبكات الخاصة الافتراضية، وملفات المحافظ المشفرة للعملات الرقمية مثل البيتكوين والإيثيريوم.

بعد الحادث، اكتشف باحثو الأمن السيبراني في StepSecurity، بقيادة Ashish Kurmi، الشذوذ خلال 20 دقيقة وأبلغوا عنه. وعقب تلقي فريق TanStack الإشعار، بدأوا على الفور إجراءات الطوارئ، وألغوا صلاحيات الدفع على GitHub لمنع توسع الأزمة، وتواصلوا مع فريق NPM لإزالة النسخ الـ84 الخبيثة بالقوة.

تصاعد التهديدات، وصعوبة الدفاع تزداد

ينقل حادث TanStack رسالة تحذيرية لمجتمع المطورين ومستخدمي العملات المشفرة، ومع تزايد أدوات كتابة الكود بالذكاء الاصطناعي، قد يقع المبتدئون غير الملمين بالأمن السيبراني في فخاخ الهجمات.

قال تشارلز جيومليت، المدير التقني لمحفظة Ledger الشهيرة، إن أكثر ما يميز هجوم سلسلة التوريد على NPM في بيئة الذكاء الاصطناعي هو أن السكربتات الخبيثة تراقب باستمرار ما إذا كانت الشهادات المسروقة على GitHub قد تم إلغاؤها من قبل المستخدمين.

إذا اكتشف النظام أن المستخدمين لاحظوا شيئاً غير طبيعي وحاولوا إلغاء الشهادات، فإن البرمجيات الخبيثة ستبدأ فوراً برد فعل انتقامي، وتقوم بمسح بيانات المستخدمين في الدليل الرئيسي على أجهزتهم.

مثل هذا التصميم العقابي يعيق بشكل كبير جهود فرق الأمن السيبراني والمتضررين في عمليات التعافي والإصلاح بعد الهجمات، كما يمنح الهاكرز مزيداً من الوقت لتعميق الضرر والسيطرة على النظام، وكون الهاكرز يفتحون مصدر الدودة Mini Shai-Hulud، فهذا يدل على أن تكلفة هجمات سلسلة التوريد على NPM منخفضة جداً بالنسبة لهم.

قال بجدية: «نحن ندخل حقبة جديدة، حيث تصبح تقنيات الهاكرز أكثر قوة بشكل متزايد، ويزداد صعوبة الدفاع عن أنفسنا يومياً.»